حالة سباق حرجة في mod_http2 في Apache HTTP Server قد تؤدي إلى RCE

تم تحديد ثغرة تزامن حرجة، CVE-2026-119618، في وحدة HTTP/2 (mod_http2) في Apache HTTP Server. الخلل هو حالة سباق في دالة assign_headers() قد تسمح لمهاجم بعيد غير مصادق بتشويه ذاكرة heap وتحقيق RCE. اعتبارا من نشر المقالة، لا يوجد استغلال متاح ولا توجد تقارير عن استغلال في البرية.

الاكتشاف والتفاصيل التقنية

اكتشفت Anthropic وفريق Google Cloud Vulnerability Research المشكلة بشكل مستقل. إنها موجودة داخل assign_headers() في mod_http2، حيث يمكن أن يثير التزامن غير السليم أثناء تنفيذ الخيوط المتزامنة على الموارد المشتركة تشويه heap. ويمكن استغلال تلف الذاكرة هذا للحصول على RCE على خادم الاستضافة، مما يسمح لجهات تهديد غير مخولة بتنفيذ أوامر عشوائية بامتيازات عملية خادم الويب.

الخطر على بيئات السحابة

في بيئات السحابة، يمكن أن تعمل نسخة Apache مخترقة تشغّل أحمال العمل المعبّأة في حاويات أو الافتراضية كنقطة دخول للحركة الجانبية، وقد تكشف خدمات مصغّرة مجاورة أو نقاط نهاية بيانات تعريف السحابة. وفق بيانات Wiz، 64% من بيئات السحابة لديها موارد ضعيفة أمام CVE-2026-119618، و51% من بيئات السحابة لديها نسخ معرضة للعامة. يلاحظ المصدر أن هذا لا يأخذ الإعدادات في الحسبان.

الإصدارات المتأثرة

تؤثر الثغرة على عمليات النشر التي تستخدم قدرات HTTP/2 في Apache HTTP Server. الإصدارات المتأثرة هي Apache HTTP Server من 2.4.55 حتى 2.4.70، مع إدراج 2.4.71 والإصدارات الأحدث كإصدارات مصححة. بالنسبة لوحدة mod_h2 في GitHub، الإصدارات من 2.0.8 حتى 2.0.42 متأثرة، مع إدراج 2.0.24 والإصدارات الأحدث كإصدارات مصححة.

الإجراءات الموصى بها

يجب على فرق الأمان ترقية Apache HTTP Server إلى الإصدار 2.4.71 أو أحدث، وتحديث الإصدارات المستقلة من mod_h2 في GitHub إلى إصدار أحدث من 2.0.42. إذا لم يكن التصحيح الفوري ممكنا، فعطّل مؤقتا دعم HTTP/2 بتحرير ملف إعداد مثل httpd.conf وتقييد البروتوكولات النشطة إلى HTTP/1.1، وإزالة إشارات h2 و h2c؛ المثال يضبط Protocols http/1.1. يمكن لعملاء Wiz استخدام الاستعلام الجاهز والنصيحة في Wiz Threat Center للبحث عن نسخ ضعيفة في بيئتهم. كما يشير المصدر إلى ملاحظات إصدار Apache HTTP Server.

المصادر: wiz.io